Tengo una aplicación móvil (ioS) que solo ciertos usuarios pueden usar, y está codificada de tal manera que solo podrían iniciar sesión usando una VPN segura (con tokens) para acceder a nuestros servidores de red internos para la recuperación de datos. .
Mi auditor solicita que, de acuerdo con las buenas prácticas, todo el desarrollo de aplicaciones móviles intente incorporar la fijación de certificados.
Me gustaría desafiar ese argumento: usar VPN con múltiples factores es, en mi opinión, suficiente porque ambos son métodos de autenticación y nos permiten saber quién está realmente usando la aplicación. Mi aplicación móvil no es una aplicación basada en Internet y el servidor de base de datos del cual la aplicación recuperará los datos se encuentra alojado internamente.
Por lo tanto, mi pregunta es: ¿Las conexiones de VPN y Cert tienen diferentes propósitos o son aproximadamente equivalentes?